善用软件，手工清除连卡巴斯基都无法对付的病毒~~

暗天使

声明：
本帖是电脑报论坛-酷软交流版块会员原创帖  转载请注明出自电脑报论坛-酷软交流版块




作者：剪水作花[电脑报论坛]  （原文发表在博客yescola.yo2.cn）



平时我们会遇到一些疑难病毒  就连杀毒软件都杀不掉。在网上搜索也找不出结果。这个时候你会选择怎么办？ 重装系统？ 恢复系统？  还是其他？

但我们需要具备专研精神  虽然我们都很菜  但我们需要不断的专研 学习 进一步提升自己的能力


今天我就以我自己的经历给大家分析一下如何卸载驱动类型病毒

什么是驱动类型病毒（大概含义）：
一种利用Windows驱动技术的病毒，与系统服务类似，本身并不作为单独的进程出现，所以在任务管理器里面无法找到它。就算知道病毒文件在哪里，但是无法删除，即便是在安全模式里面也是一样无法删除。这时因为其使用了驱动保护技术，将自身作为驱动加载。而驱动程序在系统里面具有高优先级和最高级别权限，所以这类病毒对付起来很麻烦。

今天我给朋友修理系统的时候，就遇到这么一个病毒，卡巴斯基报告发现病毒文件C:\Windows\System32\rv0128.sys   但卡巴斯基提示无法删除病毒，将在重启后删除。
接着我按照卡巴斯基的提示重启机器后，仍然显示无法删除。

既然卡巴斯基无法删除，那么我们就自己手动来删除。打开查看隐藏文件选项，然后找到病毒文件，却发现删除不了，提示“有程序正在使用该文件”。
这个也好办，进入安全模式呗。随后就进入安全模式，这个时候就奇怪了，发现在安全模式里面也是出现同样的提示并且无法删除。使用360安全卫士文件粉碎机还是无法删除文件。这下怎么办？杀毒软件删除不了，手动删除也不行。


我这个时候大概猜想到应该是一个驱动类病毒，因为病毒文件无法删除并且提示“有程序正在使用该文件”，那么就证明有后台程序或者服务在使用该程序。但是安全模式里面任何多余的服务和启动项都是不会启动的，却也无法删除，那么唯一剩下的就是驱动类病毒技术了。因为驱动程序在系统里具备极高的权限，即便是在安全模式下也能启动，所以也就导致了在安全模式下也无法删除该文件的情况。

了解了原理，这个时候，就该动用咱们的软件了！用很多病毒查杀辅助工具可以快速的帮助我们清除病毒。



步骤一  查明病毒的驱动程序：
首先打开System Repair Engineer(SReng)这个软件，既然我们要删除病毒文件，首先要解决的就是它的驱动保护。先要卸载它的驱动。

System Repair Engineer(SREng) 是一款全新的、强有力的、可扩充的用于调整和修复你系统的免费工具，在这个工具的帮助下，你可以察觉你的系统故障并能够很容易的修复他们。 他的日志比hiJakcthis的更全（体现在hijackthis会遗漏一些启动项）另外 SREng的日志能提供更详细的诊断信息
下载地址：http://www.kztechs.com/sreng/sreng2.zip

在SREng里面，点选启动项--服务-驱动程序，软件会给我们列出系统中存在的驱动程序列表，再点下面的隐藏微软认证的项目，那么软件就会把Windows系统自带的驱动程序隐藏起来，我们就可以很明了的看到系统里面所存在的第三方驱动程序。

但有些驱动程序是正常的，我们如何分辨哪些是正常的，哪些是病毒？这里有2个小技巧：
一，正常的驱动程序一般都会有公司的名称，例如卡巴斯基杀毒软件就有公司名称:Kaspersky lab。而病毒的驱动大多数都是没有公司名称和版本号之类的。显示为：N/A
二，从卡巴斯基查出来的病毒文件名C:\Windows\System32\rv0128.sys来看，我们可以看看有没有rv0128这样名称的驱动，如果有，那么一定就是病毒程序了

如图1



OK，我们找到一个驱动程序名字叫rv0128，看来它就是病毒的后台老大了。

步骤二 卸载病毒驱动程序
对着“我的电脑”点右键-属性-硬件-设备。打开了设备管理器。我们要在这里删除病毒的驱动程序。
在常规模式下我们是看不到病毒的驱动程序的，需要点击设备管理器菜单栏上面的“查看”-“显示隐藏的设备”。这个时候，设备管理器里面会多出一项“非即插即用驱动程序”，一些软件的驱动程序，包括病毒的驱动程序都在这里面。如图2，3





OK，在里面找到rv0128这个驱动程序，它就是病毒的真身了。对着它点击右键-卸载，完毕后重新启动电脑。





步骤三  删除病毒文件
重新启动电脑后，手动删除C:\Windows\System32\rv0128.sys，就可以了，这个时候就不会出现无法删除的提示了
如果还是出现无法删除的情况，可以使用360安全卫士文件粉碎工具或者冰刃等软件删除。

至此，这个驱动类病毒清除完毕。





后记：
从这个例子，我们可以大致了解到驱动类病毒的原理与清除方法。同时也可以学习到SREng这个软件的使用方法。
平时我们在查杀病毒的时候，不一定要过多的依赖杀毒软件，因为软件毕竟是死的，而人是活的。可以多使用一些辅助软件来帮助我们手工清除，例如冰刃，SREng，超级巡警，SSM等等。这些软件都是我们手工清除病毒的好帮手。

酷软交流的朋友们，就是需要活用软件，多用软件，爱上用软件才行哦！



剪水作花  电脑报论坛-酷软交流 2007.10.05（貌似现在已经是我的19岁生日了，凌晨0：38分）




[ 本帖最后由 qlltyoxi 于 2007-10-7 12:01 编辑 ]

风雪

第二种方法用的少了。第一种方法常用。

伊の星

都会用，但不常用。

gaue

第2個方法確是一個關鍵動作

kiya

太好了，谢谢分享，手动杀毒又学得一招。。

木偶

好复杂呢……

学会离开

偶也看得好复杂啊